Processo sancionador da ANPD reforça: na proteção de dados, não basta agir. É preciso comprovar.

A Autoridade Nacional de Proteção de Dados (ANPD) instaurou Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diversos estados brasileiros. O caso decorre de um incidente de segurança ocorrido em 2025, envolvendo um ataque de ransomware que teria afetado aproximadamente 500 mil registros de pacientes.

Entre os dados potencialmente comprometidos estavam informações cadastrais e dados pessoais sensíveis relacionados à saúde, como prontuários, exames, prescrições, diagnósticos, internações e procedimentos médicos. O incidente também teria atingido milhares de crianças, adolescentes e idosos, aumentando ainda mais a relevância da investigação.

Mais do que o ataque cibernético em si, o foco da atuação da ANPD está na forma como a instituição respondeu ao incidente.

Segundo o auto de infração, a Agência apura possíveis violações à Lei Geral de Proteção de Dados (LGPD), entre elas:

• ausência de medidas técnicas e administrativas adequadas para proteção dos dados;
• comunicação insuficiente aos titulares afetados;
• ausência de identificação do encarregado pelo tratamento de dados pessoais (DPO);
• descumprimento dos princípios da prevenção e da responsabilização (accountability).

Um dos pontos que mais chama atenção é que o Isac sustentou que não existiria risco relevante aos titulares, afirmando que os invasores teriam acessado apenas informações administrativas e contratos encerrados. Entretanto, a ANPD registrou que a instituição não apresentou evidências técnicas capazes de comprovar essa afirmação, mesmo após sucessivas solicitações.

Outro aspecto relevante diz respeito à comunicação do incidente. Em vez de informar diretamente os titulares afetados, a organização limitou-se à publicação de um aviso em seu site institucional. Para a ANPD, essa medida foi insuficiente por não apresentar informações essenciais, como a data do incidente, a natureza dos dados atingidos, as categorias de titulares afetadas e as providências adotadas para reduzir os impactos do evento.

O que esse caso ensina às organizações?

A principal lição é simples: segurança da informação não se demonstra por declarações, mas por evidências.

Quando ocorre um incidente de segurança, a organização deve ser capaz de demonstrar documentalmente quais medidas preventivas possuía, como identificou o evento, quais providências adotou imediatamente, quais riscos avaliou, como comunicou os titulares e quais ações implementou para evitar novas ocorrências.

A LGPD exige governança contínua, e não apenas reação diante de uma crise.

Isso significa possuir políticas internas, controles de acesso, gestão de riscos, registros das operações de tratamento, planos de resposta a incidentes, treinamentos periódicos e mecanismos capazes de comprovar que a proteção dos dados faz parte da rotina institucional.

O setor da saúde exige um nível ainda maior de proteção

Instituições de saúde tratam diariamente dados pessoais sensíveis, cuja exposição pode causar impactos relevantes à privacidade, à dignidade e até à segurança dos pacientes.

Por essa razão, espera-se dessas organizações um elevado grau de maturidade em proteção de dados, segurança da informação e governança.

Não basta possuir tecnologia. É necessário possuir processos, controles e capacidade de demonstrar conformidade perante a ANPD.

A importância da accountability

Talvez a maior mensagem desse processo seja justamente esta: quem trata dados pessoais precisa estar preparado para provar que atua em conformidade com a LGPD.

A accountability deixou de ser um conceito teórico para se tornar um requisito prático da legislação.

Em matéria de proteção de dados, muitas vezes a discussão não será apenas sobre a ocorrência do incidente, mas sobre a capacidade da organização de demonstrar que fez tudo o que era razoavelmente esperado para preveni-lo, responder a ele e proteger os titulares.

O processo ainda está em fase de defesa e não há decisão definitiva da ANPD. Independentemente do resultado final, o caso já se consolida como um importante precedente sobre a forma como a Autoridade vem interpretando os deveres de segurança, transparência, comunicação de incidentes e responsabilização previstos na LGPD, especialmente no tratamento de dados sensíveis na área da saúde.